¿Qué es CIRA Canadian Shield?
CIRA Canadian Shield es un servicio de DNS público y gratuito operado por CIRA (Canadá). Responde DNS normal en 149.112.121.10, 149.112.122.10 (IPv6: 2620:10a:80bb::10, 2620:10a:80bc::10), y DNS cifrado: DoT, DoH. Atiende sobre todo a una región (Canadá): de cerca puede ser el más rápido; de lejos suele ser más lento que las grandes redes globales.
Valida DNSSEC: rechaza las respuestas cuya firma no cuadra. No filtra: todos los nombres se resuelven tal cual. Funciona sin ánimo de lucro.
Direcciones de los servidores DNS de CIRA Canadian Shield
Qué introducir para usar CIRA Canadian Shield:
DNS (IPv4) 149.112.121.10, 149.112.122.10
DNS (IPv6) 2620:10a:80bb::10, 2620:10a:80bc::10
DoT / DNS privado private.canadianshield.cira.ca
DoH https://private.canadianshield.cira.ca/dns-query
Cómo configurar CIRA Canadian Shield
Windows 11
Configuración → Red e Internet → Wi‑Fi o Ethernet → Propiedades de hardware → Asignación de servidor DNS → Editar → Manual. Activa IPv4 y escribe 149.112.121.10, 149.112.122.10. Para cifrar, pon DNS sobre HTTPS en Activado (plantilla manual) con https://private.canadianshield.cira.ca/dns-query.
macOS
Ajustes del Sistema → Red → Wi‑Fi (o Ethernet) → Detalles → DNS: pulsa + y añade 149.112.121.10, 149.112.122.10. El DNS cifrado (https://private.canadianshield.cira.ca/dns-query) necesita un perfil de configuración.
iPhone y iPad
Ajustes → Wi‑Fi → ⓘ junto a la red → Configurar DNS → Manual, y añade 149.112.121.10, 149.112.122.10. Solo vale para esa Wi‑Fi; para DNS cifrado en cualquier red, instala un perfil DNS para https://private.canadianshield.cira.ca/dns-query.
Android
Ajustes → Redes e Internet → DNS privado → Nombre de host del proveedor de DNS privado: private.canadianshield.cira.ca. Funciona en cualquier red y va cifrado (DoT). El menú cambia un poco según la marca: busca «DNS privado» en Ajustes.
Router
En la página de administración del router (ajustes WAN o DHCP), pon como servidores DNS 149.112.121.10, 149.112.122.10: todos los dispositivos de la red lo usarán.
Navegador
Chrome: Configuración → Privacidad y seguridad → Seguridad → Usar DNS seguro → Personalizado: https://private.canadianshield.cira.ca/dns-query. Edge lo tiene en Privacidad, búsqueda y servicios. Firefox: Ajustes → Privacidad y seguridad → DNS sobre HTTPS → Protección máxima → Personalizado: https://private.canadianshield.cira.ca/dns-query.
Linux
Con systemd-resolved: pon DNS=149.112.121.10 149.112.122.10 en /etc/systemd/resolved.conf y ejecuta systemctl restart systemd-resolved. Para DoT, escribe la dirección como 149.112.121.10#private.canadianshield.cira.ca y añade DNSOverTLS=yes.
¿Se puede usar CIRA Canadian Shield en China continental?
Su DNS normal suele responder, pero más lento, porque los servidores están fuera de China continental, y las respuestas para sitios bloqueados pueden falsificarse por el camino. El DNS cifrado (DoH, DoT) hacia él suele estar bloqueado o ser inestable. Haz la prueba en esta página: una fila sin respuesta significa que no es accesible desde tu red.
¿CIRA Canadian Shield o Quad9 DNS: cuál es más rápido?
Ninguno es más rápido en todas partes: cuenta lo lejos que está el servidor más cercano de cada uno y cómo enruta tu proveedor hasta allí. Esta página mide los dos, y todos los demás DNS de la lista, desde tu propia red en unos 20 segundos; arriba verás en qué puesto queda CIRA Canadian Shield y cuánto le saca el más rápido.
Quad9 DNS: página, direcciones y configuración →
¿Por qué CIRA Canadian Shield va lento para mí?
Casi siempre por distancia: su servidor más cercano está lejos o tu proveedor da un rodeo. Un proxy o VPN también lleva las consultas, y entonces la prueba mide la ruta del proxy (las reglas directas lo arreglan). Algunas redes ralentizan o bloquean el DNS cifrado. Y un nombre que nadie le ha pedido aún siempre tarda más (columna Sin caché). Si otro DNS de la lista es claramente más rápido, cámbiate a él.
¿Cómo funciona el test?
Tu navegador consulta directamente a cada resolver; nada pasa por este sitio. Primero abre una conexión con cada uno y consulta una vez tres nombres populares, que quedan en su caché; eso no cuenta. Luego vienen 10 rondas: en cada una se consulta a todos una vez más, en un orden aleatorio nuevo, unos pocos a la vez, para que un tropiezo de tu red afecte a todos por igual. Una ronda sí y otra no también se consulta un nombre aleatorio que no existe.
Las cifras son medianas: una consulta lenta suelta no las mueve. Los tiempos vienen de la medición de red que el navegador registra para cada petición, que los scripts de la página no pueden retrasar. Cada URL es nueva y se pide sin caché, así que solo el resolver puede responder.
¿Por qué UDP y DoT son estimaciones?
Los navegadores solo hacen peticiones HTTPS. No pueden enviar una consulta UDP al puerto 53, abrir TLS al puerto 853 (DoT) ni hablar DoQ, y ninguna web puede hacerlo desde tu red. Los sitios que muestran esas cifras miden desde su propio servidor o las suponen.
Lo que sí puede hacer la página: enviar DNS over HTTPS al mismo servidor que responde UDP y DoT (por ejemplo https://1.1.1.1/dns-query). En una conexión abierta, una consulta cuesta un viaje de ida y vuelta a ese servidor más el trabajo del resolver, que es justo lo que cuesta una consulta UDP o DoT; HTTP añade menos de un milisegundo. De ahí el ≈. Si el servidor DNS normal no tiene HTTPS, aparece – en lugar de un número.
Lo que una estimación no ve: una red que bloquea, frena o altera los puertos 53 u 853 pero deja HTTPS en paz.
Para medir UDP, DoT y DoQ de verdad, ejecuta la herramienta de línea de comandos (el comando bajo la tabla) en un servidor, un equipo Linux o un router: habla todos los protocolos y usa la misma lista.
¿Qué tan fiables son los resultados?
El método de medición está en la primera pregunta. Además, la lista se comprueba con scripts/verify.mjs (en el repositorio) desde más de un continente: cada dirección debe dar una respuesta DNS real a este tipo de consulta, y la validación DNSSEC se prueba en lugar de fiarse de lo que dice cada proveedor.
Donde el resolver lo permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la página también lee cada respuesta y solo cuenta las reales. En los demás el navegador puede medir la respuesta, pero no leerla.
Repite el test un par de veces, a distintas horas si puedes: lo más rápido de noche quizá no lo sea en hora punta.
Uso un proxy. ¿Los resultados siguen siendo míos?
Por defecto no: con un proxy o VPN activo, tu navegador llega a los resolvers a través de él y el test mide la ruta del proxy (todos los resolvers extranjeros parecen tan rápidos como tu servidor proxy). El DNS que configuras en tu dispositivo o router normalmente se consulta directo, así que no es lo que obtendrías.
Para medir tu propia red, añade las reglas directas (el botón junto al progreso): envían directo exactamente las direcciones que usa este test, por nombre de host exacto e IP única, y nada más. Sirven para Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box y Xray; la mayoría puede cargarlas desde este sitio para mantenerlas al día.
¿Qué significa «sin caché»?
Los nombres populares ya están en la caché de cualquier resolver con tráfico, así que responden rápido en todas partes. Con un nombre que nadie ha pedido hace poco, el resolver debe preguntar antes a los servidores DNS del propio sitio. El test usa nombres aleatorios bajo una zona alojada en el DNS de Cloudflare, con servidores casi en todas partes salvo China continental.
Ese coste depende de dónde estén los servidores DNS de cada sitio, que varía, así que se muestra pero no cuenta para el orden. Los resolvers de China continental parecen lentos aquí porque los servidores de la zona están fuera; para sitios chinos, con DNS en China, son rápidos.
¿Cuál elijo?
El primero de la lista es una buena opción. Si la diferencia es de pocos ms, elige por lo que más te importe: Quad9 y OpenDNS bloquean sitios conocidos de malware y phishing; Mullvad, Quad9 y Wikimedia no guardan registros de quién consultó qué; los que validan DNSSEC rechazan respuestas falsas en dominios firmados.
Si tu dispositivo solo admite direcciones de servidores DNS normales (la mayoría de routers, sistemas antiguos), mira la columna UDP: la línea bajo el ganador indica el DNS normal más rápido cuando es otro.
Para que tu red y tu operador no vean lo que consultas, usa la dirección DoT o DoH: el DNS normal viaja sin cifrar.
¿Cómo cambio mi DNS?
Android 9+: Ajustes → Red → DNS privado → escribe el host DoT (por ejemplo one.one.one.one).
iPhone y Mac: en cada red Wi-Fi, escribe los servidores DNS; para DNS cifrado instala un perfil de configuración desde la web del resolver.
Windows 11: Configuración → Red → tu conexión → Asignación de servidor DNS → Manual, escribe los servidores y activa DNS over HTTPS.
Router: pon los servidores DNS en su configuración DHCP o WAN y todos los dispositivos de la red los usarán.
Solo el navegador: Chrome, Edge y Firefox tienen la opción DNS seguro, donde eliges un proveedor o pegas la dirección DoH.
Haz clic en cualquier dirección de esta página para copiarla.
¿Qué es DNSSEC?
DNSSEC permite que un dominio firme sus registros DNS. Un resolver que valida comprueba las firmas y rechaza las respuestas que no coinciden, así que nadie en el camino puede darte una dirección falsa de un dominio firmado. La página muestra ✓ en los que lo hacen (probado con un dominio roto a propósito, dnssec-failed.org, que deben rechazar). Solo ayuda con dominios firmados, pero no cuesta nada.
¿Por qué no se prueban 114DNS ni Baidu DNS?
Solo ofrecen DNS normal y sus servidores no responden a HTTPS en absoluto, así que un navegador no puede llegar a ellos de ninguna forma. Quad101 (Taiwán) quedó fuera porque su DoH no respondió desde el extranjero en nuestras comprobaciones.
¿Qué es ECS y por qué no aparece?
EDNS Client Subnet: algunos resolvers comunican parte de tu dirección a los servidores DNS del sitio, para que una CDN elija un servidor cercano a ti y no al resolver. Puede acelerar descargas y vídeo, a cambio de algo de privacidad.
No está en la tabla porque no es una propiedad fija: en nuestras comprobaciones el mismo resolver la enviaba desde algunos lugares y protocolos y no desde otros, así que un sí o un no engañaría.
¿Se recogen mis datos?
No. Las consultas van directamente de tu navegador a cada resolver, y los nombres consultados son sitios públicos populares y nombres aleatorios; no contienen nada sobre ti. Este sitio no recibe resultados. Cada resolver ve tu dirección, como en cualquier consulta DNS; se aplican sus propias políticas de privacidad. El código es abierto y está en GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS